Windows HotFix Briefings ALERT

セキュリティ情報
緊急2個を含む7個のセキュリティ修正が公開

―― 実証コード公開の報告あり ――

DA Lab Windowsセキュリティ
2006/02/21

本HotFix Briefingsでは、Windows関連のセキュリティ・ホール(脆弱性)情報についてお知らせします。

 マイクロソフトは、月例の修正プログラム公開日である2006年2月15日、MS06-004〜010の合計7件の脆弱性情報を公表し、修正プログラムの提供を開始した。最大深刻度は最も緊急性の高い「緊急」レベルが2件、「重要」が5件である。詳細な技術情報だけでなく、実証コードが報告されたものもある。ウイルスやワームへの悪用が懸念されるので、至急に適用作業を開始する必要がある。

MS06-004910620
Internet Explorer 用の累積的なセキュリティ更新プログラム

最大深刻度 緊急
報告日 2006/02/15
MS Security# MS06-004
MSKB# 910620
対象環境 Internet Explorer 5.01 SP4
再起動 必要
HotFix Report BBSスレッド MS06-004

セキュリティ・ホールの概要と影響度

 MS06-004の修正プログラムは、Internet ExplorerがWMF形式の画像データを処理する過程に未チェック・バッファが存在するために、リモートで任意のコードが実行される脆弱性を修正する。WMF画像の処理を原因とする脆弱性はMS05-053/MS06-001でも修正されているが、MS06-004の脆弱性はこれらとは原因を別とし、MS06-004の修正プログラムはMS05-053/06-001の修正プログラムを含まないので注意が必要だ。

HotFixBriefings ALERT(2005年11月15日版)
HotFixBriefings ALERT(2006年1月11日版)

 MS06-004の修正プログラムは、CAN-2006-0020の脆弱性を解消する。細工されたWMF(Windows Meta File)形式の画像を表示すると、最悪の場合、コンピュータの制御が完全に奪われる危険性がある。攻撃者は、細工を施したWMF形式の画像をBBSなどのWebページやメール添付の画像として配布し、ユーザーに開かせることにより、MS06-004の脆弱性を悪用できてしまう。

 すでにこの脆弱性を突く実証コードが公開されているが、悪用例は確認されていない。しかし、同様の脆弱性であるMS05-053/06-001を悪用する攻撃例が報告されていることから、MS06-004の脆弱性が悪用される可能性は高いと見られる。なお、MS06-004の脆弱性はInternet Explorer 5.01/5.5のみが対象となるので、Internet Explorer 6 SP1へアップグレードすることによっても回避できる。アップグレードできない場合は、早急に修正プログラムを適用したほうがよい。

 WMF形式は、16bitのベクトル形式およびラスタ形式の画像を格納できるフォーマットである。また画像データだけでなく、画像情報と付随する外部プログラムの呼び出しを定義するフィールドが用意されている。そのため、細工されたWMF形式の画像を表示すると、任意のコードが実行されてしまう。MS05-053/06-001の脆弱性は、WMF画像を処理するGraphic Rendering Engineの脆弱性が対象となっていたが、MS06-004の脆弱性はInternet ExplorerのWMF画像処理が原因となっている。そのため、Webページ上で画像の拡張子が変更されていても、MIMEタイプを細工することでInternet ExplorerによってWMF画像として処理させることができ、WMF以外の形式に擬装して攻撃されることが懸念される。

 MS06-004の脆弱性はInternet Explorer 5.5 SP2にも存在するが、サポート・ライフサイクルが終了しているため、修正プログラムは提供されない。今後、Internet Explorer 5.5 SP2に対する修正プログラムは提供されないので、Internet Explorer 6.0 SP1へのアップグレードを検討したほうがよいだろう。

 また、MS06-004の修正プログラムの適用による不具合が報告されている。これらの不具合がシステム環境に与える影響が業務に支障をきたす場合には、修正プログラムの適用前に十分に検証した方がよい。

対象プラットフォーム

 今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。なお、脆弱性の対象となるWindows Me上のInternet Explorer 5.5 SP2に対しては、修正プログラムは提供されない。

影響を受けるソフトウェア 対象プラットフォーム
Internet Explorer 5.01 Windows 2000 SP4
 
MS06-005911565
Windows Media Player の脆弱性により、リモートでコードが実行される

最大深刻度 緊急
報告日 2006/02/15
MS Security# MS06-005
MSKB# 911565
対象環境 Windows Media Player 7.1/8/9/10
再起動 不要(必要な場合あり)
HotFix Report BBSスレッド MS06-005

セキュリティ・ホールの概要と影響度

 MS06-005の修正プログラムは、Windows Media Player(WMP)がBMP形式の画像データを処理する過程に存在する、リモートで任意のコードが実行される脆弱性を解消する。MS06-005の脆弱性により、細工された.asx(再生リスト)ファイルやスキン・ファイルを開くことにより、WMPでBMP画像が処理され、コンピュータの制御が完全に奪われてしまう危険性がある。

 この脆弱性を発見したeEye Digital Securityは、マイクロソフトが修正プログラムを提供したことを受け、詳細な技術情報を公開した。

 MS06-005の脆弱性は、WMPがBMP画像を処理する部分でヒープ・オーバーフローを起こすことが原因である。BMPデータのサイズを検証するプロセスに問題があるため、実際のBMPデータのサイズではなく、BMP画像内で宣言されたサイズでしかメモリを確保せずにBMPデータをメモリにコピーしてしまう。そのため、BMPデータのサイズが0として宣言されていると、オーバーフローが発生する。

 実際には、細工した.asxファイルをWMPで開くようにWebサイトを構築するなどの方法で、攻撃が実行されることが懸念される。ユーザーが.asxファイルをWebサイトでクリックするだけでなく、.asxファイルをInternet Explorerでインライン再生するようなタグが記述される、細工されたメディア・オブジェクトをOfficeドキュメントに貼り付ける、といった手段で攻撃される危険がある。

 詳細な技術情報が公開されたことから、SANSが実証コードの存在を2006年2月16日に報告した。

 すでに詳細な技術情報や実証コードが報告されていること、脆弱性の対象となるWindows Media Playerのバージョンが広範に及ぶことなどから、攻撃の発生を警戒する必要がある。早急に修正プログラムを適用した方がよい。

対象プラットフォーム

 今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

影響を受けるソフトウェア 対象プラットフォーム
Windows Media Player 7.1 Windows 2000 SP4
Windows Media Player 8 Windows XP SP1/SP1a
Windows Media Player 9 Windows 98/98SE/Me、Windows 2000 SP4、Windows XP SP1/SP1a/SP2、Windows Server 2003 SP未適用
Windows Media Player 10 Windows XP SP1/SP1a/SP2
 
MS06-006911564
Windows Media Player プラグインの脆弱性により、リモートでコードが実行される

最大深刻度 重要
報告日 2006/02/15
MS Security# MS06-006
MSKB# 911564
対象環境 Windows 2000/XP/Server 2003
再起動 不要(必要な場合あり)
HotFix Report BBSスレッド MS06-006

セキュリティ・ホールの概要と影響度

 MS06-006の修正プログラムは、Windows Media Player(WMP)のプラグインに存在するバッファ・オーバーフローの脆弱性を修正する。この脆弱性は、Internet ExplorerではなくFirefoxやNetscapeなどで、Windows Media Player対応のストリーミング・メディアを再生するためのWMPプラグインに存在する。この脆弱性が悪用されると、攻撃者により実行中のユーザー権限でコンピュータの任意のコードを実行してしまう危険性がある。

 修正プログラムがマイクロソフトにより提供されたことから、この脆弱性を発見したiDefenseが詳細な技術情報を公開した。

 WMPプラグインは、FirefoxやNetscapeなどのInternet Explore以外のWebブラウザ上でWMP対応のストリーミング・メディアを再生するために利用される。Internet Explorer以外のWebブラウザをインストールすると、多くの場合、WMPプラグインは自動的に検出されて登録される。WMPプラグインを利用するコンテンツは、Webページ上で<embed>タグを用いて埋め込まれる。対象となるFirefoxなどで、この<embed>タグのsrcパラメータに非常に長い文字列を与えると、構造化例外処理関連のメモリが上書きされることにより、リモートで任意のコードが実行されてしまう可能性がある。

 この脆弱性は、Webページを対象となるWebブラウザで閲覧しただけで悪用される危険がある。対象となるFirefoxとNetscapeを利用している場合は、十分に注意が必要である。iDefenseによれば、対象WebブラウザにはOperaは含まれないが、その他のFirefoxやNetscapeコンポーネントを利用するWebブラウザの利用にも注意が必要である。すでに実証コードも公開されているので、早急に修正プログラムを適用した方がよい。

対象プラットフォーム

 今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

影響を受けるソフトウェア 対象プラットフォーム
Windows 2000 Windows 2000 SP4
Windows XP Windows XP SP1/SP1a/SP2
Windows Server 2003 Windows Server 2003 SP未適用/SP1
 
MS06-007913446
TCP/IP の脆弱性により、サービス拒否が起こる

最大深刻度 重要
報告日 2006/02/15
MS Security# MS06-007
MSKB# 913446
対象環境 Windows XP/Server 2003
再起動 必要
HotFix Report BBSスレッド MS06-007

セキュリティ・ホールの概要と影響度

 MS06-007の修正プログラムは、細工されたIGMP version3(IGMP v3)パケットを受信するとコンピュータが応答しなくなる脆弱性を解消する。公開当初、自動更新/Microsoft Update/WSUSなどでこの修正プログラムを適用しようとすると0x80242006のエラーコードで失敗するというトラブルが報告された。現在ではこのトラブルは解消されている。WSUSでは、修正プログラムの情報を再同期すればよい。

 IGMPはIPホストによるマルチキャストを行うために利用される標準プロトコルである。IPホストがマルチキャスト・グループへの参加/脱退を通知したり、ルータがあるマルチキャスト・グループに参加しているIPホストが存在するかを問い合わせたりするためなどに利用される。

 Windows XP/Server 2003はIGMP v3に対応している。これは、指定した、あるいは指定外のソース・アドレスからのマルチキャスト・トラフィックを選択的に受信できるようにする。対象となるWindows OSのTCP/IPプロトコル・スタックに脆弱性が存在するため、細工されたIGMP v3トラフィックを受信すると、処理過程でコンピュータの応答が停止し、サービス拒否状態(DoS)となる。

 ただし、ファイアウォールなどでIGMPメッセージの受信をブロックしている場合、インターネット側からの攻撃は回避できる。ただしワームやウイルスに悪用された場合、適切に構成したファイアウォールの内側にあるLANであっても、この脆弱性を悪用した攻撃を回避できない。その際には、LAN内の複数のコンピュータが一気に応答を停止する可能性がある。また、インターネットに公開しているサーバや、Windows OSのファイアウォール機能を用いている場合にも、攻撃を受ける危険性がある。なるべく早急に修正プログラムを適用した方がよい。

 MS06-007の修正プログラムを適用できない場合には、以下のレジストリを設定することにより、この脆弱性の原因であるIGMPパケットの処理を行わないように構成できる。

レジストリ・キー
KEY_LOCAL_MACHINE\SYSTEM\
CurrentControlSet\Services\Tcpip\Parameters
IGMPLevel
値型 DWORD
データ 0

 上記レジストリを設定し、コンピュータを再起動すれば、IGMPパケットの処理を無効化して、MS06-007の脆弱性を回避できる。

対象プラットフォーム

 今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

影響を受けるソフトウェア 対象プラットフォーム
Windows XP Windows XP SP1/SP1a/SP2
Windows Server 2003 Windows Server 2003 SP未適用/SP1
 
MS06-008911927
WebClient サービスの脆弱性により、リモートでコードが実行される

最大深刻度 重要
報告日 2006/02/15
MS Security# MS06-008
MSKB# 911927
対象環境 Windows XP/Server 2003
再起動 必要
HotFix Report BBSスレッド MS06-008

セキュリティ・ホールの概要と影響度

 MS06-008の修正プログラムは、WebClientサービスがWebDAVプロトコル経由のメッセージを処理する部分に存在する未チェック・バッファの脆弱性を解消する。WebClientサービスの脆弱性は過去にMS05-028でも修正されているが、今回の脆弱性は原因が異なるものだ。MS05-028では対象OSとされていなかったWindows XP SP2/Server 2003 SP1も、MS06-008の脆弱性の影響を受ける。攻撃を受けると、任意のコードがネットワーク経由で実行されてしまう。

 WebClientは、Windowsアプリケーションからインターネット上のドキュメントに対して作成/修正/削除を行える機能を提供するサービスである。Windows XPではデフォルトでサービスが開始されるように構成されている。

 この脆弱性を悪用するには、攻撃者は攻撃対象のコンピュータの有効なログオン資格情報を所有している必要があるため、匿名のユーザーがこの脆弱性を悪用することは困難である。ただしWindows XPでは、Windowsエクスプローラなどで設定できる「簡易ファイル共有」が有効である場合、ネットワーク経由でアクセスするユーザーに対してGuestアカウントが利用される(本来はセキュリティを高めるために実装されているForceGuestという機能に伴うものである)。このGuestアカウントを用いてMS06-008の脆弱性を突いた攻撃を行えるので、対象バージョンのOSを利用している場合には、注意を要する。

 現在のところ詳細な技術情報や攻撃例は報告されていないが、WebDAVプロトコルのパケットはHTTP経由であるためファイアウォールでの防御が難しく、リモートでの攻撃を受ける危険性は高い。早急に修正プログラムを適用した方がよい。また修正プログラムの適用とともに、Guestアカウントや使用していないアカウントが有効になっていないか、確認しておいた方がよい。

対象プラットフォーム

 今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

影響を受けるソフトウェア 対象プラットフォーム
Windows XP Windows XP SP1/SP1a/SP2
Windows Server 2003 Windows Server 2003 SP未適用/SP1
 
MS06-009901190
韓国語版 Input Method Editor の脆弱性により、特権が昇格される

最大深刻度 重要
報告日 2006/02/15
MS Security# MS06-009
MSKB# 901190
対象環境 Windows XP/Server 2003
再起動 必要
HotFix Report BBSスレッド MS06-009

セキュリティ・ホールの概要と影響度

 MS06-009の修正プログラムは、WindowsとOfficeに含まれる韓国語IME(Input Method Editor)に存在する特権昇格の脆弱性を修正する。この脆弱性を悪用するには、ローカル/リモート・デスクトップ/ターミナル・サービスのいずれかでログオン画面にアクセスすることが条件となる。攻撃の実行には正常にログオンできる必要はなく、ログオン画面にアクセスできるだけでよい。攻撃が成功すると、ローカルで実行されている機能を悪用して特権の昇格ができてしまう。

 脆弱性の対象となる韓国語IMEは、言語によらずWindows XP/Server 2003に含まれるほか、Office 2003ファミリにもKorean Input Systemというマルチリンガル機能の一部として含まれる。IMEとは、キーボード・デバイスからの入力を文字に変換するエンジンと辞書で構成される機能で、通常は各ユーザーの権限で実行されているが、ログオン画面ではローカル・システム権限で実行されている。日本を含む各東アジア言語のWindows XP/Server 2003には、東アジア各言語のIMEがデフォルトでインストールされており、韓国語IMEもインストールされている。デフォルトでは他言語のIMEはインストールされているだけで、コンソールのログオン画面で有効になっているのは各国語のIMEである。ただし、リモート・デスクトップ/ターミナル・サービスでアクセスした場合、IMEマッピング機能により、クライアントが指定した任意のIMEが(インストールされていれば)ロードされる可能性がある。したがって日本語版Windowsでもデフォルトで、リモート・デスクトップ/ターミナル・サービスでアクセスした場合に韓国語IMEを実行される可能性がある。

 MS06-009の脆弱性は、韓国語IMEがローカル・システム権限で動作している機能を悪用し、特権の昇格を可能にしてしまう。韓国語IMEが有効になっており、ログオン画面にアクセスできることが脆弱性を悪用する条件となる。リモート・デスクトップを経由したログオン画面へのアクセスでも攻撃できるため、リモート・デスクトップ/ターミナル・サービスを手動で有効に構成した時点で攻撃される可能性が高まる。

 デフォルト設定で利用している日本語版Windows OSではMS06-009の脆弱性を悪用される危険性はさほど高くない。リモート・デスクトップ/ターミナル・サービスを有効にしたり、何らかの理由により韓国語IMEのコンポーネントが有効になっている場合は脆弱性の対象となるので注意が必要だ。またOfficeのインストールや構成変更を行った場合などに、韓国語IMEがインストールされる可能性があるので修正プログラムを適用した方がよい。

対象プラットフォーム

 今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

影響を受けるソフトウェア 対象プラットフォーム
Windows XP Windows XP SP1/SP1a/SP2
Windows Server 2003 Windows Server 2003 SP未適用/SP1
 
MS06-010889167
PowerPoint 2000 の脆弱性により、情報漏えいが起こる可能性がある

最大深刻度 重要
報告日 2006/02/15
MS Security# MS06-010
MSKB# 889167
対象環境 PowerPoint 2000
再起動 不要(必要な場合あり)
HotFix Report BBSスレッド MS06-010

セキュリティ・ホールの概要と影響度

 MS06-010の修正プログラムは、PowerPoint 2000のHTMLレンダリング処理に起因する[インターネット一時ファイル]フォルダのオブジェクトを詐取されてしまう脆弱性を解消する。[インターネット一時ファイル]フォルダには、Cookieをはじめとする重要な情報がキャッシュされており、機密情報がユーザーの知らないうちに漏えいする危険がある。

 [インターネット一時ファイル]フォルダは、Internet Explorerでの閲覧結果をキャッシュするフォルダで、参照したHTMLやWebページを構成するGIF/JPEG、スタイルシートなどの主要素のほか、Cookieやスクリプト、Flashのデータも一時的に保存される。フォルダの実体は、デフォルトでは%USERPROFILE%\Local Settings\Temporary Internet Filesである。

 MS06-010の脆弱性は、細工したPowerPointプレゼンテーションへのリンクを含むWebページをユーザーに閲覧させ、Internet ExplorerのインラインでPowerPointプレゼンテーションを開かせることにより悪用される。Officeをインストールした環境では、Officeドキュメントをリンクから開くと、デフォルトではInternet ExplorerのインラインでOfficeのコンポーネントが呼び出されてドキュメントを開く。この脆弱性は、PowerPoint 2000とInternet ExplorerがHTMLを処理するこのような過程に起因する。

 この脆弱性が悪用されると、[インターネット一時ファイル]フォルダ内のデータが接続しているWebサーバに送られてしまう。マイクロソフトは、任意のコードを実行したり特権の昇格を起こしたりする脆弱性ではないとしているが、早急に修正プログラムを適用した方がよい。なおMS06-010の修正プログラムは、脆弱性を根本から解消するものでなく、単にPowerPointプレゼンテーションを開く際に警告ダイアログを表示するものである。そのダイアログで[OK]ボタンをクリックすると、やはり脆弱性が悪用されてしまうので注意が必要だ。

対象プラットフォーム

 今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

影響を受けるソフトウェア 対象プラットフォーム
PowerPoint 2000 Office 2000 SP-3
  
 Windows HotFix Briefings


Windows Server Insider フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)
- PR -

注目のテーマ

Windows Server Insider 記事ランキング

本日 月間
ソリューションFLASH